Выводы

Из приведенной распечатки видно, что в ответ на тестирующие запросы, посланные узлу serverl .mgu.ru, было получено 4 эхо-ответа. Длина каждого сообщения составляет 64 байта. В следующей колонке помещены значения времени оборота (RTT), то есть времени от момента отправки запроса до получения ответа на этот запрос. Как видим, сеть работает достаточно нестабильно —время в последней строке отличается от времени во второй более чем в два раза. На экран выводится также оставшееся время жизни поступивших пакетов.

Выводы

Вто время как задачей протокола IP является передача данных между сетевыми интерфейсами всоставной сети, основная задача протоколов TCP и UDP заключается в передаче данных между прикладными процессами, выполняющимися на разных конечныхузлах сети.

Протокол UDP является дейтаграммным протоколом, работающим без установления логического соединения, он не гарантирует доставку своих сообщений, а следовательно, не компенсирует не­ надежность дейтаграммного протокола IP.

Системные очереди кточкам входа прикладных процессов называют портами. Порты идентифици­ руются номерами и однозначно определяют приложение в пределах компьютера. Если процессы представляютсобой популярные общедоступные службы, такие как FTP, telnet, HTTP, TFTP, DNS ит. п., то за ними централизовано закрепляются стандартные (назначенные) номера.

TCP решаетзадачу надежного обменаданными путем установления логических соединений. Соеди­ нение однозначно идентифицируется парой сокетов.

Сокетом прикладного процесса называется пара из IP-адреса и номер порта.

Для управления потоком в рамках TCP-соединения используется специфический вариант алгорит­ ма скользящего окна. Сторона-получатель передает стороне-отправителю размер окна приема вбайтах.

Протоколы маршрутизации генерируютдля каждого маршрутизатора согласованныетаблицы марш­ рутизации, которые позволяютобеспечитьдоставку пакета по рациональному маршрутуот исходной сети в сеть назначения за конечное число шагов.

Адаптивная маршрутизация обеспечивает автоматическое обновлениетаблиц маршрутизации после изменения конфигурации сети.

Адаптивные протоколы маршрутизации делятся надистанционно-векторные алгоритмы (например, RIP) и алгоритмы состояния связей (например, OSPF).

Протоколы маршрутизации Интернета делятся на внешние (EGP), которые переносят маршрутную информацию между автономными системами, и внутренние (IGP), которые применяются только впределах определенной автономной системы.

Протокол ICMP играет в сети вспомогательную роль. Он используется для диагностики и мони­ торинга сети. Так, в основе работы популярных утилит мониторинга IP-сетей ping и tracert лежат ІСМР-сообщения.

Общая форма такого условия выглядит следующим образом:

Стандартный список доступа определяет два действия с пакетом, который удовлетворяет описанному в фильтре условию: отбросить (deny) или передать для стандартной обра­ ботки в соответствии с таблицей маршрутизации (permi t). Условием выбора того или иного действия в стандартном списке доступа является совпадение IP-адреса источника пакета с адресом источника, заданным в списке. Совпадение проверяется в том же стиле, чтои при проверке таблицы маршрутизации, при этом метасимволы являются аналогом маски, но в несколько модифицированном виде. Двоичный нуль в поле метасимволов ис­ точника означает, что требуется совпадение значения этого разряда в адресе пришедшего пакета и в адресе, заданном в списке доступа. Двоичная единица означает, что совпадения в этом разряде не требуется. Практически, если вы хотите задать условие для всех адресов некоторой подсети, то должны использовать инвертированное значение маски этой под­ сети. Параметр any означает любое значение адреса —это просто более понятная и краткая форма записи значения 255.255.255.255 в поле метасимволов источника.

Пример стандартного списка доступа:

Здесь:

□1 —номер списка доступа;

□deny —действие с пакетом, который удовлетворяет условию данного списка доступа;

□192.78.46.0 —адрес источника;

□0.0.0.255 —метасимволы источника.

Этотфильтр запрещает передачу пакетов, у которых в старших трех байтах адреса источ­ никаимеется значение 192.78.46.0.

Список доступа может включать более одного условия. В этом случае он состоит из не­ скольких строк с ключевым словом access-1 і s t n одним и тем же номером списка до­ ступа. Так, если мы хотим разрешить прохождение через маршрутизатор пакетов хоста 192.78.46.12, запрещая передачу пакетов одному из хостов сети 192.78.46.0/24, то список доступабудет выглядеть следующим образом:

Условиясписка доступа проверяются по очереди, если какое-либо из них дает совпадение, то выполняется действие permi t или deny, определенное в этом условии. После этого остальные условия списка уже не проверяются. Считается по умолчанию, что в конце каждогосписка имеется неявное условие вида:

Однако, если вам все же требуется пропускать все пакеты, не определенные явно в усло­ виях, необходимо добавить в последней строке условие:

Список доступа можно применять к любому интерфейсу маршрутизатора и в любом на­ правлении: если список применяется с ключевым словом і п, то он действует на входящие в интерфейс пакеты, а если с ключевым словом out —на выходящие. Например, написан­

ный нами список доступа 1 можно применить к некоторому интерфейсу для обработки входящего трафика, используя следующую команду:

a c c e s s - g r o u p 1 i n

Существуют также и более мощные типы списков доступа для маршрутизаторов Cisco, например, расширенные списки доступа. Общий формат этих списков следующий:

Пользуясь расширенными списками доступа, можно запретить прохождение во внутрен­ нюю сеть предприятия FTP-пакетов. Как известно, служба FTP использует для приема запросов от клиентов протокол TCP с хорошо известным портом 21. Для этого в список доступа нужно включить условие:

a c c e s s - l i s t 1 0 2 d e n y T C P a n y 21 a n y

Затем можно применить его к интерфейсу маршрутизатора, к которому подключена вну­ тренняя сеть, с ключевым словом out.

Администраторы корпоративных сетей из соображений безопасности1 часто запрещают возможность трассировки извне внутренних хостов утилитой ping. Это делается с помо­ щью условия:

a c c e s s - l i s t 10 1 d e n y I C MP a n y 1 9 2 . 7 8 . 4 6 . 8 0 . 0 . 0 . 0 e q 8

Как видно из условия, его синтаксис для протокола ICMP несколько отличается от обще­ го синтаксиса расширенных списков доступа. Параметр eq 8 означает, что запрещается передача ІСМР-сообщений типа 8, соответствующего эхо-запросам, с помощью которых функционирует утилита ping.

Еще более гибким является язык фильтров программного маршрутизатора, работающего во многих версиях Unix. Синтаксис этого языка близок к синтаксису языка С, что позво­ ляет строить весьма сложные логические конструкции с помощью условных инструкций i f , t h e n , e l s e .

Необходимо отметить, что фильтрация пользовательского трафика может существенно замедлять работу маршрутизатора, так как обработка каждого пакета требует проверки дополнительных условий.

Для того чтобы не создавать слишком большую нагрузку на маршрутизатор и «не от­ влекать» его от выполнения основных обязанностей, в фильтрах маршрутизаторов не используется информация о предыстории сеансов. Сколько бы ни было сложным условие фильтрации маршрутизатора, в нем учитываются только параметры текущего пакета и не могут учитываться параметры предыдущих пакетов, уже обработанных маршрутизатором. Это ограничение является главным отличием маршрутизаторов от брандмауэров, специ­ альных программных систем, которые, используя информацию о предыстории сеансов, выполняют более качественную фильтрацию.

1 См. об этом в главе 24.